Se costumas ligar o portátil ou o telemóvel à rede Wi-Fi de um hotel ou de um centro de conferências quando estás de viagem, a Microsoft tem um alerta muito sério para ti.
A Microsoft identificou uma campanha global batizada de CaptiveCrunch, que está a comprometer redes de Wi-Fi públicas para roubar credenciais e dados de contas do Microsoft 365.
A responsabilidade desta vaga de ataques foi atribuída ao grupo de hackers russo Midnight Blizzard (APT29), que atuou através do sub-grupo Storm-2945. A sofisticação do método mostra que o perigo já não passa apenas por emails de phishing tradicionais, mas sim pela própria infraestrutura de rede à qual te ligas.
Como funciona o ataque na rede Wi-Fi
O vetor de ataque assenta na manipulação do tráfego DNS e HTTP nos equipamentos do portal de captura (a página onde metes o número do quarto ou aceitas os termos do Wi-Fi do hotel). Ao adulterar as configurações DNS da própria rede partilhada, os hackers interceptam a tua navegação.
Quando tentas aceder à internet, és redirecionado para páginas falsas. A Microsoft identificou três vias principais de exploração observadas nos últimos meses:
- Páginas de login falsas do Microsoft 365: réplicas exatas com o intuito de roubar o teu utilizador e password.
- Phishing por código de dispositivo (Device Code Phishing): abuso dos fluxos de autenticação do Microsoft Entra ID para autorizar acessos indevidos.
- Avisos falsos de atualização (ClickFix): janelas que simulam atualizações do sistema operativo ou do navegador, induzindo a vítima a executar verificações que descarregam malware para Windows ou ficheiros APK para Android.
CornFlake e ChocoShell: malware criado com apoio de IA
A análise da Microsoft revelou a utilização de duas novas famílias de malware desenvolvidas especificamente para esta operação. Um detalhe importante detetado no código fonte indica que os hackers recorreram a ferramentas de inteligência artificial para acelerar o desenvolvimento do malware.
As ferramentas do ataque:
- CornFlake (Trojan em Go): Disfarça-se no sistema como "Cloud Sync Service" para parecer um componente legítimo do Windows. Enquanto exibe um ecrã flaso de progresso (como um scan do Defender, otimização de disco ou atualização), instala-se no diretório
%AppData%.
Permite controlo remoto, captura de ecrã, registo de teclas (keylogger), escuta por microfone/câmara, roubo de cookies, credenciais do browser e tokens de sessão do Microsoft 365. - ChocoShell (PowerShell em memória): Um módulo focado na extração direta de passwords salvas, credenciais de Wi-Fi, cookies e tokens do Microsoft 365 e Azure AD diretamente da memória RAM.
Para gerir todos os acessos obtidos, o grupo utiliza um painel de controlo web chamado FruitStone, a partir do qual consegue navegar pelos ficheiros das vítimas, executar comandos à distância e monitorizar a atividade em tempo real.
Como é que isto te afeta?
Este cenário desmonta claramente uma das noções de segurança mais comuns: a de que um site HTTPS ou uma rede de hotel protegida é intrinsecamente segura.
Quando o próprio router ou servidor DNS do hotel está comprometido, o teu dispositivo é encaminhado para servidores sob o controlo de hackers como estes sem que notes quaisquer diferenças no site.
O foco no roubo de tokens de sessão é o ponto que exige maior atenção. Com um token ativo, os hackers conseguem ultrapassar a autenticação tradicional e aceder a emails, documentos no OneDrive e outros dados sem precisarem de voltar a introduzir a password.
Como te deves proteger em viagem
Diante desta ameaça em redes públicas, a prevenção exige mudanças simples nos teus hábitos digitais:
- Evita Wi-Fi público para trabalho: Usa dados móveis (hotspot do telemóvel) ou uma conexão gerida (managed connection) sempre que precisares de aceder a contas pessoais ou de trabalho.
- Não faças atualizações em redes públicas: Nunca aceites instalar atualizações de software, extensões de browser ou utilitários sugeridos por páginas de captura de Wi-Fi.
- Não uses o teu email profissional no registo do hotel: Evita utilizar o email de trabalho para preencher formulários de acesso à rede de hóspedes.
- Usa autenticação forte (Passkeys / MFA): Dá preferência a métodos de autenticação resistentes a phishing, como chaves de segurança físicas ou Passkeys, em detrimento de SMS ou códigos temporários.
Promoção do dia
